62
определение механизмов для выявления и противодействия возможным
угрозам и восстановления нормальной работы информационной
системы;
механизмы анонимности: временные идентификаторы с симметричным
ключом; секретность подлинности с использованием асимметричного
ключа; анонимный доступ;
механизмы аутентификации: с симметричным ключом, с асимметричным
ключом, с "нулевым знанием";
механизмы конфиденциальности: блочное шифрование, потоковое
шифрование;
механизмы для обеспечения целостности: шифрование с добавлением
избыточности, симметричный ключ, асимметричный ключ;
не криптографические механизмы безопасности: регистрация
пользователя, верификация пользователя, подсчёт вызовов;
механизмы для управления безопасностью: управление версиями,
распределение ключей;
механизмы безотказности: цифровая подпись;
и множество других вопросов.
К основным организационным мерам можно отнести:
усовершенствование политик безопасности, разработка документов,
конкретизирующих меры по соблюдению безопасности информации по
определенным вопросам и угрозам. [22, C. 63]
Документированная политика ИБ обязана заявлять о приверженности
руководства и определять подход к управлению ИБ в компании.
Политика ИБ должна быть доведена к сведению всех пользователей
компании в актуальной, доступной и понятной форме читателям, для которых
она предназначена. [24, C. 45]
Политика ИБ обязана представлять собой элемент более общей
документированной политики.
Следовательно, основной организационной мерой должна считаться
разработка политики ИБ, ознакомление с ее положениями всех сотрудников и
строгое их соблюдение.
63
Следовательно, основываясь на необходимых мерах по защите
информации в ЗАО «Золотой шар», следует определить состав разрабатываемой
политики безопасности.
Политика безопасности должна включать в себя документы,
регламентирующие работу всех необходимых подсистем безопасности.
Опираясь на данные подсистемы были разработаны ключевые требования,
касающиеся обеспечения ИБ в ЗАО «Золотой шар», охватывающие такие
частные документы как:
1. Правила парольной защиты;
2. Регламент использования системы отдела техобслуживания;
3. Правила защиты от вирусов и злонамеренного ПО.
Также для определения правил по работе с персоналом при приёме на
работу и увольнении, и в случае возникновения нештатных ситуаций
разработаны инструкции по работе с персоналом, в которые включены:
1. Инструкция по приёму на работу и допуску новых сотрудников к
работе в АС и наделению их полномочиями, которые необходимы для доступа к
ресурсам системы.
2. Инструкция по увольнению работников и лишения их полномочия
доступа в систему.
3. Инструкция по действиям различных категорий персонала, в том числе
сотрудников отдела безопасности информации, по ликвидации последствий
чрезвычайных (аварийных или нештатных) ситуаций, в случае их
возникновения.
В таблице 8 представлена таблица разграничения прав пользователя.
64
Таблица 8
Разграничение прав пользователей
Группы
пользова-
телей
Общая
папка
«ПО»
Общая
папка
«Пользова-
тели»
Модуль
«ТЗ»
Модуль
«Проект»
Доступ в
Internet
Менеджер
проектов
Чтение/соз
дание
Полный
Полный
Полный
Не
ограничен
Менеджер по
продажам
Чтение/соз
дание/удал
ение
Чтение
Чтение
Полный
Ограничен
Дизайнер
Чтение
Чтение/созда
ние
Полный
Нет
Нет
Верстальщик
Чтение
Чтение/созда
ние/
удаление
Полный
Чтение
Ограничен
Программист
Чтение/соз
дание/удал
ение
Чтение/созда
ние/
удаление
Полный
Полный
Не
ограничен
В ЗАО «Золотой шар» уже используются средства инженерно-
технической защиты, к примеру, система охранной сигнализации. К инженерно-
техническим мерам также относятся система контроля и управления доступом.
Так как информационные активы в основном представлены файлами на жестких
дисках и бумажными документами, то будет считаться целесообразным
внедрение системы защищённого электронного документооборота [25, C. 69].
В качестве системы, которая обеспечит возможность построения
безопасного обмена документами внутри компании, одной из самых популярных
является система ViPNet CUSTOM.
ViPNet CUSTOM служит, чтобы организовать защищённое
взаимодействие клиент-клиент, тогда как основной частью VPN-решений других
производителей обеспечивается только соединение уровня сервер-сервер либо
сервер-клиент. Этим обеспечивается возможность реализации любой
необходимой политики разграничения доступа в пределах всей защищённой
сети и снижения нагрузки на VPN -серверы, так как при взаимодействии клиент-
клиент VPN -сервер не используется в процессах шифрования трафика между
такими клиентами. [11, C. 140]
Технология ViPNet позволяет реализовывать функции брандмауэра для
65
открытых и защищённых соединений, почтовых служб, IM-клиента, назначение
виртуальных адресов видимости и систем обнаружения вторжений (IDS).
Для организации сети ViPNet необходимо на рабочие компьютеры
установить ПО ViPNet. При этом отпадает необходимость в приобретении
дополнительного оборудования и в изменении существующей топологии сети
(рисунок 11).
Протокол, используемый в технологии ViPNet, может обеспечить
защищённую передачу данных через любые каналы связи, при помощи
различных устройств NAT/PAT — даже, когда Интернет-провайдер стремится
создать помехи для установления соединения посредством запрета VoIP или при
помощи авторизующих соединений IPSec.
Сетевой администратор, используя ViPNetCUSTOM, обладает всеми
необходимыми средствами для реализации задачи построения защищённой сети.
Неограниченная масштабируемость решения позволяет обеспечить быструю и
надёжную защиту как локальной сети небольшой компании, применяющей
выход в глобальную сеть или модемный пул для подсоединения удалённых
пользователей так и распределённых корпоративных сетей крупных
государственных и коммерческих предприятий, не изменяя при этом
установленного алгоритма применения ранее установленных на сети
приложений. ViPNetCUSTOM поставляется в комплекте с крипто-ядром Домен
К, которое сертифицировано ФАПСИ.
66
Рисунок 11. Технология VipNet
Решение ViPNetCustom предназначается для объединения в единую
защищённую VPN-сеть любого количества рабочих станций, мобильных
пользователей и локальных сетей (рисунок 12).
Решение ViPNetCUSTOM может содержать в себе такие программные
компоненты как:
ViPNet [Координатор] — обеспечивает выполнение абсолютно всех
серверных функций в пределах защищённой сети: межсетевой экран, сервер
защищённой почты, криптомаршрутизатор, криптошлюз и др.
ViPNet [Администратор] — отвечает за администрирование и
развёртывание защищённой сети, а также за функции Удостоверяющего Центра.
ViPNet [Клиент] — обеспечивает выполнение абсолютно всех функций
клиентов в пределах защищённой сети: клиентское шифрование, персональный
сетевой экран, контроль сетевой активности приложений, клиент защищённой
почтовой службы интегрированная система выявления атак (IDS), развитая
система аудита и др.
67
Рисунок 12. Компоненты системы VipNet
ViPNet — это гораздо больше, нежели просто VPN. Кроме служб,
обеспечивающих защиту ПК клиента, ViPNet [Клиент] содержит в себе полный
комплект бизнес-приложений, необходимых современному бизнесу:
защищённые службы по организации конференций, файловому обмену, обмену
сообщениями, почтовая служба «Деловая почта».
При взаимодействии между собой разных сетевых узлов, когда между
ними отсутствуют межсетевые экраны с преобразованием адресов, используется
протокол IP/241, который принято считать более экономичным, так как не имеет
UDP-заголовка размером 8 байт. Исходный пакет после шифрования
упаковывается в пакет IP-протокола номер 241.
Когда меж сетевыми узлами находится межсетевой экран,
преобразовывающий сетевые адреса (в том числе и координатор ViPNet),
автоматически используется протокол UDP, который позволяет IP-пакетам
проходить при помощи межсетевых экранов. После шифрования исходный
68
пакет упаковывается в UDP-пакет. Для настройки соединения между узлами на
межсетевом экране необходимо указать разрешающее правило для UDP-
протокола с фиксированным портом источника. В общем случае порт
назначения не задаётся, поскольку он регистрируется по пакетам от узла
получателя.
Сервером IP-адресов принято считать координатор, от которого
абонентский пункт получает сведения о параметрах доступа, IP-адресах и
состоянии сетевых узлов, с которыми такой абонентский пункт связан.
В случае изменения IP-адреса абонентского пункта, а также параметров
его подсоединения к сети новая информация направляется на сервер IP-адресов.
Периодически абонентский пункт подтверждает серверу IP-адресов своё
пребывание в сети.
В качестве сервера IP-адресов по умолчанию установлен координатор, на
котором данный абонентский пункт зарегистрирован в программе
ViPNetManager либо ViPNetAdministrator, другими словами в сервер-
маршрутизаторе абонентского пункта. Рекомендуется применять сервер IP-
адресов по умолчанию, однако, в случае необходимости в качестве сервера IP-
адресов может быть выбран произвольный координатор своей сети, с которым
данный абонентский пункт связан.
Если как межсетевой экран клиент использует координатор, то
шифрованный трафик между данным клиентом и узлами, которые напрямую
недоступны по их адресам, будет перенаправлен посредством координатора. В
данном случае координатором выполняются функции крипто-шлюза —
маршрутизатора для шифрованных пакетов с функцией трансляции адресов
(осуществляется преобразование MAC - и IP -адресов).
Реализация автоматической маршрутизации шифрованных пакетов
клиента при помощи координатора выполняется без изменений настройки
протокола TCP/IP в ОС. Не изменяются настройки сетевого шлюза,
применяемого по умолчанию, после установления ПО ViPNet. В результате
этого не изменяется также и маршрутизация нешифрованных пакетов, а работа в
сети может быть продолжено сразу же после установки ПО ViPNet. Новые
маршруты формируются только для шифрованного IP-трафика.
69
Как межсетевой экран может быть избран координатор, который для
данного абонентского пункта не считается сервером IP-адресов.
Такую возможность считают полезной для мобильного пользователя
ViPNet, находящегося в чужой локальной сети. Для работы в обычном режиме в
сети ViPNet мобильному пользователю достаточно в качестве межсетевого
экрана избрать координатор, который непосредственно доступный в данной
локальной сети (если имеется связь с этим координатором).
Также в некотором роде обеспечивается и резервирование криптошлюзов
в сети. Если заданный координатор недоступен, из списка можно выбрать
другой приемлемый координатор и продолжить работу.
В качестве межсетевого экрана будет избран по умолчанию координатор,
указанный как сервер IP-адресов. При необходимости из перечня Координатор
можно выбрать другой координатор. Например, мобильным пользователям
ViPNet в различных сетях предоставляется возможность применения в качестве
межсетевого экрана различных координаторов.
2.2 Информационное обеспечение задачи
2.2.1 Информационная модель и её описание
Программу автоматизированного рабочего места менеджера отдела продаж
условно можно разделить на три блока (рисунок 13):
1) заполнение справочников;
2) заполнение документов и движение регистров;
3) формирование отчетов.
70
ИС
Ведение
справочников
Менеджер
Поставщикк
Спр.Поставщик
Регистр*.постав
ки
Регистр.поставк
и
Регистр*.Реализ
ация
Регистр.Реализа
ция
Ввод
«Поставки»
Ввод
«Поставки»
Отчет по
поставкам
ПоставкиРеализация
Отчет по
реализации
Спр*.Поставщик
Экранная форма Документ
Спр. Склад
Рисунок 13. Информационная модель
71
2.2.2 Характеристика нормативно-справочной, входной и оперативной
информации
Рассмотрим основные классификаторы и системы кодирования,
используемые при проектировании информационной системы.
Порядковая система кодирования применяется для таких классификаторов
программы, как: номер единицы измерения, номер материала, номер изделия,
номер способа доставки, поэтому структурная формула для них не приводится.
Таблица 9
Основные используемые классификаторы и системы
кодирования
Наименование
кодируемого
множества
объектов
Значность
кода
Система
кодирования
Система
классификации
Вид
классификатора
№_чека
5
порядковая
отсутствует
уровня
предприятия
ИНН
10
комбиниро-
ванная
многоаспектная
общероссийский
БИК
12
комбиниро-
ванная
многоаспектная
общероссийский
РНН
24
комбиниро-
ванная
многоаспектная
общероссийский
Шифр_товара
5
порядковая
отсутствует
уровня
предприятия
Исходная и промежуточная оперативно-справочная информация хранится
в приведенных ниже справочниках ПОСТАВЩИК; ПОСТАВКА;
СПРАВОЧНИК ТОВАРОВ; СКЛАД; РЕАЛИЗАЦИЯ (таблица 10).